海外雇主索要银行流水时，不要仅仅因为请求来自 HR 就交出完整交易记录。先核实请求者、具体的雇佣用途、法律或合同依据、所需的最少字段、可接受的替代证明、安全交付方式、访问范围和删除安排。不同司法辖区下，请求不能被笼统认定为合法或违法。

关键要点

通过已知的雇主渠道核验请求者身份。

把发薪银行资料与账户所有权证明或财务历史区分开。

询问需要哪些字段，以及能否用银行出具的正式证明代替。

只在取得书面同意后遮盖；绝不隐藏所述核查确实需要的字段。

记录保存期限、接收方、传输方式和升级途径。

这是更大的海外工作与生活计划的一部分。即使由同一雇主收集，雇佣档案、发薪指示、银行数据、移民证据和身份核验也可能有不同的负责方和法律依据。

1. 核实请求和请求人

不要直接回复意外的索要附件邮件。通过雇主已知的网站、员工门户、已签署的合同或内部通讯录找到人事、发薪、合规或招聘部门的联系方式。确认发件人的姓名、职位、部门、案件编号，以及其索取该文件的权限。

留意域名变化、仿冒地址、要求保密的紧急口吻、个人文件分享账户，或要求把记录发到经理私人聊天账号的指示。细节有出入时，经另一已知渠道联系雇主。保留原邮件和邮件头；核实期间不要转发敏感附件。

询问该请求是为了入职、确认发薪账户所有权、费用报销、利益冲突筛查、受监管职务、移民、住房，还是其他目的。请求来自真实员工，不代表雇主已授权或确需完整流水。

如果发件人声称是银行需要流水，把它当作另一个流程处理。使用银行要求身份核验的指南，并独立核实银行渠道。

2. 海外雇主索要银行流水，明确目的与最少字段

要求对方给出书面说明：确切目的、所需字段、日期范围、可接受的出具机构、语言、认证要求、决定人、法律或合同依据，以及不提供该记录的后果。询问为什么侵入性更低的证明无法达到同样目的。

英国信息专员办公室（ICO）说明，处理员工信息的雇主必须确定合法依据、提供隐私信息、只收集必要的信息、限制访问并设定保存做法。［1］这是有用的英国数据保护例子，不是对他处请求的通用判定。

把目的与字段对应起来：

所述目的	可能相关的字段	除非另有说明，通常无关
发放工资	账户持有人、路由信息、账号	交易历史和余额
账户所有权	姓名和账户标识	商户名称和个人消费
费用报销	所报销费用的付款记录	无关交易
受监管职务核查	具名规则要求的字段	“以防万一”的无限期历史
移民证据	机关清单中的字段	雇主自行增加的字段

不要让“合规”“背景调查”或“公司政策”这类模糊说法取代具体目的。要求对方提供相关政策或官方规则，并说明由哪个主体负责处理这些数据。

3. 提议侵入性更低的替代证明

询问雇主是否接受银行出具的账户确认函、直接入账表格、当地通行的作废支票、只显示所有权的一页流水，或某一笔特定交易的回单。例如，Revolut 英国的官方帮助页面介绍了一种账户确认文件，包含持有人信息、账户状态、开户日期和账户标识。［2］可见或有单独确认文件可用，但它仍可能披露超出所需的个人字段，分享前先检查。

普通的工资入账，按海外收工资银行资料指南处理。请发薪部门指明它实际需要的路由和所有权字段；这与索要数个月的个人消费、转账、债务和余额完全不同。

如果某项具名规则确实要求完整流水，询问是否只涉及特定期间和特定账户。没有理由时，不要把个人、联名、企业或储蓄账户混在一起。联名账户的流水还会暴露另一个人的信息，因此要取得对方同意，并询问能否提供范围更窄的记录。

为认证或翻译付费前，先取得雇主接受替代证明的书面确认。未涵盖所需日期范围的银行信函也许更安全，却可能通不过所述核查。

4. 约定遮盖范围与安全传输

列出你打算遮盖的每一个字段：无关交易、余额、商户名称、其他账号、家庭住址、客户编号、二维码或联名持有人信息。请决定人以书面方式批准这些遮盖。当账户持有人、日期、交易、余额或标识正是核查中明确且正当的对象时，绝不能将其遮盖。

先复制一份，再用合适的工具进行不可逆的遮盖；在可编辑文档里的文字上画一个黑框，底层数据可能仍能恢复。重新打开导出的文件，尝试搜索或复制文字，检查元数据和图层，并确认没有隐藏页面或缩略图泄露内容。把原件原样保存在安全的位置。

使用雇主认可的加密上传门户，或其他有书面说明的安全方式。不要通过普通群聊、个人邮箱或来历不明的公开链接发送流水。上传前确认接收人并保存回执，不要让流水在多个邮箱重复留存。

更完整的移居海外时保护身份文件指南，可帮助你管理安全副本和披露记录。VPN 在某些情况下可以保护网络流量，但它不能让过度的请求变得合理，也无法补救发错对象的文件。

5. 确认访问、保存与更正安排

询问谁会访问该文件、数据处理方或背景调查服务商是否会收到它、它存放在哪些国家、雇主保存多久、什么情况会触发删除，以及你如何更正不准确的记录。索取适用的员工隐私声明。

ICO 关于保存雇佣记录的指引说明，雇主应记录合法依据、提供隐私信息、收集必要信息、限制访问，并安全处置不再需要的记录。［3］它并没有规定统一的保存期限；雇主应把保存期限与业务需要和法定义务联系起来。

保存一份披露记录，写明请求、目的、获批字段、遮盖内容、文件版本、接收方、传输渠道、日期、案件编号、保存期限答复和回执。不要为留存记录而把流水本身放进未受保护的共享文件夹。

如果雇主之后把流水用于新目的，询问新的目的、依据、通知和必要性评估。为确认发薪账户所有权而收集的记录，不应悄悄变成绩效、行为或生活方式方面的证据。

6. 决定提供、澄清还是升级

把书面请求与当地劳动法、数据保护规则、受监管职务的义务、你的合同和公司政策进行对照。如果仍不清楚，询问数据保护官、劳资委员会、工会、劳动主管部门、隐私监管机构、法律援助服务或合资格的当地顾问。在寻求初步意见时，分享请求本身，而不是你的完整财务历史。

如果你拒绝或暂缓提供，准确说明未解决的问题：请求者身份未核实、缺少目的、日期范围过大、渠道不安全、没有保存期限答复、涉及第三方数据或遮盖未获批准。提出合理的替代方案，并要求书面答复。没有当地法律依据时，不要指责雇主违法。

如果出现胁迫、报复、扣留护照或威胁，保存证据并使用独立渠道。雇主扣留护照指南处理的是另一种实体证件风险。

总结

通过另一个已知的雇主渠道核实请求者。
要求具体的目的、依据、字段清单和后果说明。
在可接受时，提供银行出具的或字段有限的替代证明。
取得书面的遮盖批准，并使用安全的传输途径。
记录访问、保存、更正和删除安排。
通过适当的当地渠道升级具体的未解决问题。

常见问题

雇主要银行流水合法吗？

没有全球统一的答案。是否合法、是否相称，取决于司法辖区、目的、职位、数据保护依据、雇佣规则以及所索取信息的多少。

发工资需要完整流水吗？

普通发薪通常需要的是路由信息和账户持有人资料，而不是交易历史。请发薪部门指明所需字段，以及是否接受直接入账表格或账户证明函。

可以遮盖交易和余额吗？

只有在确认雇主正当需要哪些信息并取得书面接受之后，才可以遮盖交易和余额。不要隐藏正是所述核查对象的字段。

我可以发截图代替吗？

截图可能暴露通知、其他账户、设备信息或可编辑的内容，也可能不符合真实性要求。询问可接受的格式，并提供经核实的最少文件。

如果我只有联名账户的流水怎么办？

它包含另一个人的数据。询问银行证明函或另一个账户能否证明所需事实，并在适当时先取得联名持有人的同意再披露。

雇主可以保存多久？

保存期限取决于目的和适用义务。索取针对该类别的保存期限、删除触发条件、数据处理方和隐私声明，而不要接受“无限期”。

我可以拒绝这项请求吗？

你的选择和风险取决于当地法律、职位和有书面记录的依据。先要求澄清和替代方案，然后在作出可能影响雇佣的决定之前，寻求独立的当地意见。

免责声明：本文提供一般雇佣与隐私信息，不构成法律、金融、银行或数据保护建议。雇主义务、员工权利、必要证据、遮盖、保存和投诉途径因国家、司法辖区、职位和用途而异。

来源

UK Information Commissioner's Office — Lawful basis for using information — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/lawful-basis/a-guide-to-lawful-basis/
Revolut United Kingdom — Download your account confirmation — https://help.revolut.com/help/profile-and-plan/managing-my-account/account-confirmation/
UK Information Commissioner's Office — Collecting and keeping employment records — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/employment/employment-practices-and-data-protection-keeping-employment-records/collecting-and-keeping-employment-records/

Sources checked 2026 年 9 月 12 日。

延伸阅读：

海外雇主索要银行流水：核实用途、最少字段与安全交付保存规则